Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Control\Lsa] 'Notification Packages' = ''
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\WanSo.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ssst] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\i82440bx] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\fkwld] 'Start' = '00000001'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ad_1451\InstLNP.exe'
- '%TEMP%\ad_1451\ad_1451.exe'
- '%TEMP%\AIS_1451_0.EXE'
- '%TEMP%\RarSFX0\TD000010.exe'
- '%WINDIR%\1.tmp' /S
- '%TEMP%\RarSFX0\mms29.exe'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe'
- '<SYSTEM32>\rundll32.exe' %PROGRAM_FILES%\nnno\xxxy.dll,Service -s
- '<SYSTEM32>\regsvr32.exe' /s "%CommonProgramFiles%\WANSO\SoBar.dll"
- '<SYSTEM32>\rundll32.exe' %CommonProgramFiles%\WANSO\player.dll,Always
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtSetValueKey, драйвер-обработчик: i82440bx.sys
- NtDeleteValueKey, драйвер-обработчик: i82440bx.sys
- NtDeleteKey, драйвер-обработчик: i82440bx.sys
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\nnno\mmmn.ini
- %TEMP%\insshell.exe
- %PROGRAM_FILES%\nnno\iiij.ini
- %PROGRAM_FILES%\nnno\xxxy.dll
- <DRIVERS>\i82440bx.sys
- %TEMP%\ad_1451\ad_1451.exe
- %WINDIR%\inf\68000.PNF
- <SYSTEM32>\lsanp.dll
- %PROGRAM_FILES%\nnno\iiij\iiij.ini
- %PROGRAM_FILES%\nnno\rrrs.ini
- %PROGRAM_FILES%\nnno\kkkl\kkkl.ini
- %PROGRAM_FILES%\nnno\qqqr\qqqr.ini
- %PROGRAM_FILES%\nnno\cccd.dll
- %PROGRAM_FILES%\nnno\aaab.dll
- <SYSTEM32>\uuuv.uni
- %PROGRAM_FILES%\nnno\fffg.dll
- %TEMP%\ad_1451\init.txt
- %TEMP%\SoBar.dll
- %TEMP%\nsj3.tmp
- %TEMP%\RGInstall.dll
- %TEMP%\player.dll
- %TEMP%\RarSFX0\mms29.exe
- %TEMP%\RarSFX0\TD000010.exe
- %WINDIR%\1.tmp
- <SYSTEM32>\67-105-7163
- <SYSTEM32>\83-105-7163
- <DRIVERS>\fkwld.sys
- %TEMP%\ad_1451\InstLNP.exe
- %TEMP%\nsc6.tmp
- %TEMP%\nsp4.tmp\System.dll
- %TEMP%\fkwld.sys
- %CommonProgramFiles%\WANSO\SoBar.dll
- %CommonProgramFiles%\WANSO\Player.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\AIS_1451_0.EXE
Удаляет следующие файлы:
- %TEMP%\ad_1451\ad_1451.exe
- %TEMP%\ad_1451\init.txt
- %TEMP%\ad_1451\InstLNP.exe
- %TEMP%\RarSFX0\mms29.exe
- C:\~de8.tmp
- %TEMP%\RarSFX0\TD000010.exe
- %TEMP%\SoBar.dll
- %TEMP%\player.dll
- %TEMP%\RGInstall.dll
- %WINDIR%\1.tmp
- %TEMP%\nsp4.tmp\System.dll
Перемещает следующие файлы:
- %TEMP%\AIS_1451_0.EXE в C:\~de8.tmp
- %TEMP%\insshell.exe в %TEMP%\AIS_1451_0.EXE
Сетевая активность:
Подключается к:
- 'up####.borlander.cn':80
- 'ac####.borlander.com.cn':80
- 'do#.#ggzs.com':80
TCP:
Запросы HTTP GET:
- up####.borlander.cn/updadini/updadini.ini
- up####.borlander.cn/updstd3/updstdix.ini
- ac####.borlander.com.cn/active?t=###########################################
- up####.borlander.cn/updstd3/updstdii.ini
UDP:
- DNS ASK ac####.borlander.com.cn
- DNS ASK up####.borlander.cn
- DNS ASK ya###.com.cn
- DNS ASK do#.#ggzs.com
Другое:
Ищет следующие окна:
- ClassName: '_stdup_cha_wnd_' WindowName: '_stdup_cha_wnd_'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
